Неуловимый JavaScript-дроппер щедро раздает RAT-троянов и инфостилеров

Неуловимый JavaScript-дроппер щедро раздает RAT-троянов и инфостилеров

Неуловимый JavaScript-дроппер щедро раздает RAT-троянов и инфостилеров

Исследователи из HP обнаружили нового JavaScript-зловреда, который уже активно используется для засева троянов удаленного доступа и программ для кражи информации. Вредонос, получивший кодовое имя RATDispenser, пока плохо детектируется антивирусами.

Новоявленный загрузчик, по данным экспертов, объявился в интернете три месяца назад. Из 155 выявленных образцов 94% работали как дроппер, то есть не использовали сетевые соединения для доставки целевой полезной нагрузки.

Распространяется RATDispenser через спам-письма с вредоносным вложением. Для маскировки приаттаченный файл снабжен двойным расширением — .txt.js.

С той же целью вирусописатели используют обфускацию; при запуске зловред расшифровывает себя и записывает VBScript-файл в папку %TEMP%, используя cmd.exe. В итоге на машину жертвы загружается RAT-троян или инфостилер.

На настоящий момент выявлено восемь разных вредоносов, доставляемых с помощью RATDispenser. Чаще всего это STTRAT или WSHRAT, остальные (AdWind, Formbook) — менее чем в 20% случаев. Не исключено, что операторы JavaScript-загрузчика предоставляют его в пользование как сервис (Malware-as-a-Service, MaaS).

Эксперты различают три версии вредоноса; больше пока не найдено, но в ближайшее время могут появиться новые. На VirusTotal, по данным HP, загружено 77 сэмплов; средний уровень детектирования — всего 11%.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Потеряли старый номер? Его могут использовать для краж на маркетплейсе

В МВД рассказали о новой схеме кражи денег через маркетплейсы — преступники покупают товары в рассрочку с аккаунтов, к которым получают доступ через неиспользуемые телефонные номера.

Как пояснили ТАСС в пресс-центре ведомства, всё начинается с того, что мошенник приобретает номер, который раньше принадлежал другому человеку, но больше не используется.

Если этот номер был привязан к аккаунту на маркетплейсе, злоумышленник может пройти верификацию и войти в профиль настоящего владельца.

После этого он оформляет покупки в рассрочку, используя банковскую карту, сохранённую в аккаунте. Деньги списываются с карты реального владельца, а товар уходит мошеннику.

В МВД отметили, что подобные схемы становятся всё более распространёнными. Чтобы защитить себя, эксперты советуют удалять привязки старых номеров при смене сим-карты и не хранить данные банковских карт в приложениях маркетплейсов.

Напомним, на днях мы рассказывали, по каким признакам можно узнать мошенника. Их, как правило, выдают три характерных признака: упор на срочность, использование чужих номеров и наличие артефактов в голосе.

В этом месяце мы также предупреждали о рассылке видео с вредоносом для кражи денег из онлайн-банков. Схема выглядит правдоподобно: пользователь получает сообщение якобы от знакомого — с URL на видео.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru